如何实现客户数据独立隔离存储？MySQL及云数据库方案咨询

一、Azure MySQL的原生行级隔离支持 #

Azure Database for MySQL（灵活服务器/单一服务器，8.0及以上版本）支持行级安全（Row-Level Security, RLS），这是MySQL原生提供的功能，能直接实现不同客户数据的行级隔离，避免跨用户访问。

二、行级安全（RLS）落地实现 #

RLS通过自定义函数+安全策略，限制用户仅能访问自身权限范围内的数据行，核心步骤如下：

1. 建立用户与客户ID的映射关系（如果用数据库用户标识租户）

CREATE TABLE customer_user_mapping (
    customer_id INT PRIMARY KEY,
    db_user VARCHAR(255) NOT NULL UNIQUE
);
-- 插入映射数据，比如客户ID 100对应数据库用户user_cust100
INSERT INTO customer_user_mapping VALUES (100, 'user_cust100');

2. 创建权限判断函数
   该函数返回当前数据库用户对应的客户ID，作为行级过滤的依据：

CREATE FUNCTION get_allowed_customer_id()
RETURNS INT
DETERMINISTIC
BEGIN
    RETURN (SELECT customer_id FROM customer_user_mapping WHERE db_user = CURRENT_USER());
END;

3. 启用目标表的行级安全并创建策略
   以存储客户数据的customer_data表为例：

-- 启用行级安全
ALTER TABLE customer_data ENABLE ROW LEVEL SECURITY;

-- 创建隔离策略，限制所有操作仅能访问匹配客户ID的行
CREATE POLICY customer_isolation_policy ON customer_data
FOR ALL
USING (customer_id = get_allowed_customer_id());

如果不用数据库用户标识租户，也可以通过会话变量传递当前客户ID（比如应用层执行SET @current_customer_id = 100;），只需修改函数为：

CREATE FUNCTION get_allowed_customer_id()
RETURNS INT
DETERMINISTIC
BEGIN
    RETURN @current_customer_id;
END;

三、其他备选隔离方案 #

如果对隔离级别要求更高，或无法使用RLS，可选择以下方案：

• 租户专用数据库/实例：为高要求客户单独创建Azure MySQL数据库或独立服务器，物理层面彻底隔离，安全性最高但成本也更高。
• 表级隔离：为每个客户创建独立的数据表（如customer_100_data），通过表级权限控制访问，但扩展性差，维护成本高。
• 应用层强制过滤：在所有数据访问请求中硬编码customer_id = 当前租户ID的条件，但仅能防范应用逻辑漏洞，若数据库被直接入侵则无防护作用。

注意事项 #

• 确保使用MySQL 8.0及以上版本，Azure MySQL灵活服务器默认支持该版本。
• 超级用户（如root）不受RLS策略限制，需严格管控超级权限的使用。
• 若使用会话变量传递租户ID，需在应用层确保变量设置的安全性，防止篡改。

内容的提问来源于stack exchange，提问作者user19019404